Investigador argentino expone vulnerabilidades en el sistema de transporte público de Córdoba en BSides Las Vegas

Un investigador argentino logró acceder a prácticamente todo el ecosistema tecnológico utilizado para administrar el transporte público de Córdoba, incluyendo sistemas de colectivos y taxis, plataformas de recarga, tarjetas de pasajeros, cámaras instaladas en vehículos, información personal y cuentas administrativas. Algunas herramientas permitían apagar o inmovilizar unidades a distancia.

Ignacio Navarro, hacker cordobés, reportó las vulnerabilidades a la empresa responsable y al CERT nacional, que coordina la respuesta ante incidentes informáticos. Los problemas fueron corregidos antes de que pudieran ser aprovechados por atacantes. Navarro presentó su trabajo en la charla "Every ride you take: Hacking a City’s Public Transportation" en BSides Las Vegas, parte del "Hacker Summer Camp" en Las Vegas.

La investigación mostró que una sucesión de fallas menores permitía el acceso completo a sistemas utilizados por más de 1,5 millones de personas. Navarro encontró la posibilidad de que se filtraran datos sensibles de miles de usuarios y herramientas capaces de interferir con el funcionamiento cotidiano del transporte. Entre los datos expuestos había más de cinco millones de tarjetas de transporte y alrededor de 6.000 cuentas administrativas.

El acceso inicial permitió descubrir nuevas vulnerabilidades y avanzar sobre otros componentes conectados mediante la técnica de "encadenamiento de vulnerabilidades". Navarro logró ingresar a plataformas de gestión y recarga, dispositivos instalados en colectivos, sistemas vinculados con taxis y al servicio que administra las grabaciones de las cámaras de seguridad de más de 1.400 dispositivos distribuidos en más de diez provincias.

El riesgo más grave incluía herramientas para controlar vehículos de manera remota, con opciones para apagarlos o inmovilizarlos. Navarro destacó que una interrupción masiva del transporte público afectaría a millones de personas que dependen del servicio para actividades cotidianas. La investigación se detuvo y reportó a tiempo para evitar posibles abusos del sistema.